Berechtigungen mit dem Pflegestatus Verändert oder Manuell
SAP_NEW richtig verwenden
Im Rahmen der Lösung SAP Access Control dient die Komponente Business Role Management der zentralen Rollenverwaltung. Sie bietet neben weiteren nützlichen Funktionen die Automatisierung der Massenpflege von Rollenableitungen. Hierzu müssen Sie zunächst die Organisationsmatrix im Customizing (Transaktion SPRO) hinterlegen, d. h., dass Sie im Bereich Details der Organisationsebenenzuordnung für die unterschiedlichen Organisationsfelder die Werte oder Wertebereiche eintragen. Zu diesem Zeitpunkt spezifizieren Sie allerdings noch nicht, welche Referenzrollen für diese Organisationswerte abgeleitet werden sollen.
SAP Berechtigungen sind ein sicherheitskritisches und damit ein immens wichtiges Thema in Unternehmen. Mit ihrer Hilfe werden nicht nur die Zugriffsmöglichkeiten der Nutzer im SAP-System gesteuert, sondern auch die externe und interne Sicherheit der Unternehmensdaten hängt direkt von den eingestellten Berechtigungen ab.
Dem Benutzermenü externe Services aus SAP CRM hinzufügen
In der Transaktion SU22 pflegen die Entwickler einer Anwendung die Vorschlagswerte für alle benötigten Berechtigungsobjekte; dabei hilft der Berechtigungstrace. Wie in SAP-Hinweis 543164 beschrieben, wird über den dynamischen Profilparameter auth/authorization_trace der Trace mit dem Wert Y (aktiv) bzw. F (aktiv mit Filter) eingeschaltet. Mit dem Einspielen der SAP-Hinweise 1854561 bzw. des relevanten Support Packages aus SAP-Hinweis 1847663 ist es möglich, einen Filter für diesen Trace über die Transaktion STUSOBTRACE zu definieren, den Sie anhand der Kriterien Typ der Anwendung, Berechtigungsobjekte oder Benutzer einschränken können.
Bitte beachten Sie, dass in Abhängigkeit vom Ergebnis des Reports RSUSR003 eine System-Log-Meldung vom Typ E03 erzeugt wird. Sollte ein kritisches Merkmal (rot hinterlegt) erkannt werden, wird der Meldungstext »Programm RSUSR003 meldet ›Security violation‹« in das System-Log geschrieben. Falls kein kritisches Merkmal erkannt wurde, wird stattdessen die Meldung »Programm RSUSR003 meldet ›Security check passed‹« ausgegeben. Diese Meldung erfolgt, da die Information zum Passwortstatus der Standardbenutzer hochgradig sicherheitsrelevant ist und Sie die Zugriffe darauf nachvollziehen können sollten. Sie können der Benutzer- und Systemadministration Änderungsberechtigungen für den Report RSUSR003 erteilen oder nur eine Ausführungsberechtigung mit dem Berechtigungsobjekt S_USER_ADM und dem Wert CHKSTDPWD im Feld S_ADM_AREA vergeben. Diese Berechtigung beinhaltet keine Änderungsberechtigungen für die Benutzerverwaltung und kann daher auch an Auditoren vergeben werden.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Durch die Korrektur im SAP-Hinweis 1692243 können Sie den Report nun auch in einer ZBV-Umgebung (Zentrale Benutzerverwaltung) nutzen; er ist also nicht mehr nur auf einzelne Mandanten beschränkt.
Eine Möglichkeit, einen direkten Zugriff auf die nachgelagerten Systeme vom Entwicklungssystem aus zu erhalten und dort evtl. unautorisierte Aktivitäten durchzuführen, besteht in der Nutzung fehlerhaft konfigurierter Schnittstellen.